メール配信IPを14個に増やしたら即ブロック?スノーシュースパム誤認の原因と対策
メール配信量の増加に対応するため、専用IPを14個に増やしたところ、数時間後に複数のIPがSpamhausのブラックリスト（CSS）に登録されてしまいました。正当な請求書メールを保守的なペースで送信していたのに、なぜこんなことが起きたのでしょうか。
SpamhausのCSSは、迷惑メールを送信しているIPアドレスを自動で検知し登録するリストです。メール内容ではなく、送信の振る舞いのパターンを分析して判定するため、正当なメールでも振る舞いが迷惑メールに似ていれば登録されてしまいます。
問題の原因は、14個の新しいIPがすべて同時に稼働を開始し、同じペースで同一の宛先（Microsoft）にだけメールを送信していたことでした。これは攻撃者が検知を逃れるため、複数のIPに送信を分散させるスノーシュースパムの手口と同じパターンです。
Microsoftの個別のIP判定では
「問題なし」と評価されても、Spamhausはインターネット全体の広域的な挙動を評価します。14個のIPで完全に同じパターンの送信が起きるのは、人間の運用ではあり得ない「機械的な対称性」に見えるため、自動的にブラックリスト登録されたのです。
対策は、システムから不自然な対称性を排除することです。新しいIPを一気に稼働させず段階的に導入し、IPごとに稼働開始のタイミングや送信ペースにばらつきを持たせ、自然な運用に見えるようにすることが重要です。